Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

В экосистеме React вскрылась серьёзная проблема — настолько серьёзная, что ей сразу выдали максимальный балл по CVSS 10.0. Уязвимость затрагивает React Server Components и позволяет злоумышленнику удалённо запускать произвольный код на сервере, даже не проходя аутентификацию.

Проблема кроется в том, как React Server Functions принимают и разбирают данные, отправленные из браузера. Клиент генерирует HTTP-запрос к серверной точке, React пытается распарсить содержимое — и именно на этапе этой «разборки» злой запрос может заставить сервер выполнить код, которого там быть не должно.

Если в проекте включена поддержка React Server Components, даже без фактического использования React Server Functions — уязвимость всё равно в зоне риска.

1 декабря команда React выпустила исправление и начала сотрудничать с хостинг-провайдерами и open-source проектами, чтобы обновления прокатились как можно быстрее. 3 декабря уязвимость внесли в реестр как CVE-2025-55182, а исследователи уже выложили PoC — прототип эксплуатации, демонстрирующий, как именно можно сломать сервер. Другими словами, ждать появления массовых эксплойтов долго не придётся.

Лука Сафонов, бизнес-партнёр по инновационному развитию ГК «Гарда», предупреждает: уязвимости такого уровня мгновенно становятся магнитом для атак.

Даже если приложение не использует серверные функции напрямую, но поддержка React Server Components включена, риск всё равно есть. Спасти положение могут решения класса WAF, которые закрывают дыры нулевого дня и блокируют попытки эксплуатации.

React-команде сейчас явно не до спокойных выходных: уязвимость критическая, PoC доступен, а экосистема огромна. Обновляться нужно как можно быстрее — и без отлагательств.

Подпишитесь на новости

Поиск по запросам об абортах могут изменить в пользу ресурсов соцподдержки

Российским поисковикам могут добавить новую задачу: при запросах об искусственном прерывании беременности приоритет должны получить ресурсы социальной поддержки женщин. Владимир Путин поручил правительству подготовить соответствующие предложения.

Готового механизма пока нет, сначала чиновникам предстоит объяснить, как это должно работать.

Пункт включён в перечень поручений по итогам заседания Совета по демографической и семейной политике. Срок подготовки предложений — 15 декабря 2026 года.

В документе используется формулировка «приоритетное индексирование». Она касается ресурсов, предоставляющих социальную поддержку женщинам в ситуации репродуктивного выбора, когда те ищут информацию об услугах по прерыванию беременности.

Какие именно поисковые системы затронет инициатива, какие сайты получат приоритет и как будут определять подходящие запросы, не уточняется. Технические требования ещё предстоит сформулировать.

Здесь важна разница между поручением подготовить предложения и уже изменённой выдачей. Документ не сообщает, что поисковики внедрили новые правила или получили готовую инструкцию по перестановке результатов.

Индексирование и ранжирование — тоже разные процессы, первое отвечает за включение страниц в поисковую базу, второе — за их порядок в результатах.

RSS: Новости на портале Anti-Malware.ru